Об уязвимостях сообщайте приватно на creator@localzet.com. Укажите репозиторий, commit/версию, последствия, минимальный способ воспроизведения и возможное исправление. Не публикуйте ключи, данные клиентов и подробности эксплуатации в открытых issue. Гарантированного срока ответа и программы вознаграждений нет.

Используйте последнюю проверенную ревизию и учитывайте экспериментальные ограничения README. Успешный CI не является сертификатом безопасности. Поддерживаемые релизные ветки должны быть явно описаны прежде, чем рассчитывать на backport; пока исправления вносятся в текущую линию разработки по возможности.

Не отправляйте действующие секреты по email. Обезличьте доказательства; если чувствительные материалы необходимы, согласуйте подходящий приватный канал с сопровождающим. Согласуйте раскрытие после исправления или на отдельную дату. Сохраняйте авторство upstream-исправлений.

Сопровождающий: Ivan Zorin (localzet). Авторство: .github/AUTHORS.md.